银行计算机网络风险防范与对策研究

1银行计算机网络风险防范与对策研究上海大学巴士汽车学院招商银行04计算机专业（2）班陈之力（04320186）摘要：由于毕业后签约银行工作，同时作为计算机专业毕业对于银行的计算机系统也特别的熟悉，所以谈一下关于银行计算机网络风险防范而现在随着外资银行进入中国的银行业。以及对于RMB市场的冲击，我国各家银行机构都在不断的进行业务创新，推陈出新，而此中的网络应用以及科技的含量都大大的提高，从而极大的促进了计算机及网络技术在银行业务领域的广泛应用，各家银行机构的电子化水平及服务水平都得到了不断提高，不论是在服务层面或是管理层面都在逐步与世界接轨。我国银行业已经普遍使用诸如商业银行的前台的储蓄系统，各个银行自己的工作台，包括了门柜系统、信贷系统、统计管理系统、电子联行，人民银行的信贷咨询管理系统等，使用的操作系统也有Windows98、UNIX、OS/2等，随着电子银行、自动柜员系统、综合业务系统等大量的投入使用，计算机及网络风险防范问题日益突出。关键词：银行计算机网络系统、风险防范、信息管理、银行电子化一、银行业内计算机与网络风险的表现形式银行计算机及网络风险其实就是指银行业在进行技术创新和实现银行电子化过程中广泛使用计算机技术、网络通信技术，而计算机本身（包括硬件、软件、操作系统等）和涉及计算机安全管理的制度缺乏有效的科学性、规范性和完善性，潜伏着许多不安全因素而造成的潜在的或已发生的风险。主要表现比如说计算机的系统故障、安全事故和计算机犯罪。银行计算机及网络风险具有突发性强、范围广、影响大等特点。而结合银行业务的特点，银行计算机及网络风险可分为下面几种：实体风险、硬件风险、软件风险、信息管理风险和计算机犯罪五大类。在我们银行，计算机的网络就分为了外部网络和业务网，一些接触重要业务以及数据和客户信息的计算机都只能联通业务网，其中包括了外汇的实施结汇现汇等等，这在一定程度上是避免了不少网络带来的危害。（一）实体风险。首先是实体风险，这是人为地对计算机中心及其设施、设备进行攻击和破坏。银行计算机系统存储了大量金融和国民经济活动的信息，对银行组织的管理决策和整个国家宏观调控起着重要作用。据媒体报道，在国外，曾发生多起攻击计算机中心、炸毁计算机设备的案件。这就警示我们，对银行信息中心计算机设备实体的安全和风险防范就应当引起足够的重视。尤其是商业银行基层计算机网点，有相当一部分机房设计简陋，防护装置达不到规定标准，人为助长了计算机实体风险。（二）硬件风险。硬件风险是指由于计算机及网络设备因各种突发灾害、运行环境或硬件本身及相关元器件的缺陷、故障导致系统不能正常工作而带来的风险。21、硬件在外风险。计算机房设计、安装达不到国家规定的计算机安全运行环境的有关标准而造成的安全隐患；人为在计算上设置发射装置、通过在高频电波上增大发射功率，把电波传送到外部的无线电接收机上，因电磁波安全风险造成信息泄漏；由于不可抗力，如火灾、水灾、地震、雷击、电、磁、温度等等难以预料的突发性灾害对银行计算机系统资源带来的损害；供电系统不稳、后备电源不足或电信部门通讯故障造成的业务中断而带来的损害；计算机及网络设计没有可靠接地、缺乏防雷防尘设备而造成的计算机故障。2、硬件内在风险。短路、断线、接触不良、设备老化、电脑超期服役、损坏性的使用计算机去做非法业务性活动，人为减少计算机运行寿命等由计算机本身及相关设备、部件或元件带来的风险。3、网络风险。网络作为一种构建在开放性技术协议基础上的信息流通渠道，它的防卫能力和抗攻击性较弱，网络风险就是当电子信息在网络上传输时，由于网络设备的故障或没有将内部网络与国际互联网进行物理隔断导致遭受外界侵袭造成的风险。（三）软件风险。软件风险是指由于各种程序开发、使用过程中包含的潜在错误导致系统不能正常工作而带来的风险。1、软件设计风险。由于应用软件在研制过程中考虑不周或在编制程序时不够严密导致应用软件本身设计不完全，或未经全面测试就投入使用，导致出现应用系统在超级用户下运行、文件权限设置不正确、业务数据以明码形式存放、容错能力差、自我防御能力差等缺陷，系统在运行过程中往往会出现账务错乱、数据信息受损，更有甚者导致整个系统崩溃。这种应用软件如果一旦遭受病毒侵害，就更容易引发风险。2、软件操作风险。软件操作风险指的是在银行电子化业务中，由于某些业务操作人员素质跟不上调整发展的银行电子化建设的步伐，对银行推出的硬件设备以及银行电子化产品和服务功能不熟悉或风险意识不强等原因所造成的操作过程中出现的风险。其主要表现为：(1)业务人员操作权限界定不清，密码使用混乱，基本上处于透明状态。在计算机安全管理中，权限和密码作为两个非常重要的概念，都应该有严格的规定。但在实际业务操作中，系统管理员往往可以操作业务管理系统，而操作员之间代号混用，密码没有进行定期更换，甚至有的操作员以系统管理员的身份登录业务系统，这些现象的存在都导致风险的发生。(2)操作不当或操作失误风险。业务人员操作结束或临时离开柜台没有退出操作画面，给非法操作者提供可乘之机，使其很方便地进入业务系统进行非法操作，在计算机业务处理系统中修改数据或其他破坏性程序致计算机系统瘫痪，造成了不必要的经济损失。(3)自然消失风险。也就是因磁存储介质保管不当，使其存储在其上的信息丢失或者无法读取造成的风险。这在基层行表现得尤其突出。基层行因缺少有效的数据备份或数据备份不及时，而数据备份则是故障恢复和账务安全的重要保证；如果没有有效、完整的备份数据，当数据库一旦发生损坏则3无法将所有数据完全恢复。例如我在招行时常遇到网络软件的突发故障，一下子给客户带来了很多的不便，本身就等待了过多的时间，要是在囤积下去，势必浪费了双方的时间。（四）信息管理风险。管理风险是指由于管理体制的偏差、管理制度的不完善导致具体管理过程中出现漏洞而给计算机及网络系统带来的额外的风险。1、制度风险。所谓制度风险，主要是指在银行电子化业务中，由于制度制定有漏洞或执行不到位所造成的潜在风险。当前基层行建立的计算机安全管理制度难以适应银行计算机及网络形势发展的需要。网络安全运行管理、密码专人管理、操作员管理、数据备份媒体存放管理等制度还有待于进一步完善。尤其是内控制度的落实情况更是各行银行电子化建设中一项薄弱环节。随着金融体制的改革逐步深入，各家银行机构都在精简机构、精简网点人员，一人多网、一人持有多个操作员号的现象时有发生。形成了人员少、业务集中、基本内控制度难以执行的状况。2、人员素质风险。所谓人员素质风险，主要是指因人员素质参差不齐而引发计算机及网络系统的风险。当前我国银行业普遍存在缺乏专业高素质人员，一般银行从业人员尤其是基层行员工素质还不能与先进的管理手段、先进的管理工具的要求相适应；在具体的业务操作中更是无法有效的利用现有的资源。也正因此，人员素质的滞后对计算及网络的安全同样是一个潜在的风险。（五）计算机及网络犯罪。计算机及网络犯罪主要是指针对银行系统内的联网计算机及网络的犯罪或不正当使用计算机及网络的犯罪。招行就曾经发过通告，有些个别的网站用招行的标志以及风格做了伪造的登陆界面，盗取客户的资料和卡内的现金。即使是在自己银行内部的通讯邮箱，也时常有不明广告和邮件的侵入。而真正接触重要业务的计算机都安装了相对而言比较稳定的Windows2000或者Windows98,其主要特征是以有关计算机及网络技术知识作为必不可少的要素的犯罪。在银行计算机及网络犯罪中，常见的有两种情况：一是把计算机及网络作为诈骗、侵占、盗窃资金工具使用而引起的犯罪；二是把计算机及网络本身作为犯罪的目标，如对数据、系统的有意破、消除和改变等。二、银行计算机及网络风险防范的对策认真分析计算机及网络在实际应用过程中存在的诸多不安全因素，有效防范各类安全事故的发生，确保银行资产的完整性，有针对性的提出计算机安全管理和风险防范的对策十分必要。围绕银行计算机网络风险表现形式，应从实体、硬件、软件、管理四个层面采取措施：（一）实体方面。在银行业安全经营中，强调最多的是金库的守卫、库款押运安全、营业网点安全防范等方面。而对计算机中心或机房的安全防卫却相对薄弱。各银行机构的安全保卫部门要把本行的计算机及网络的安全纳入自己的视野，要像保卫金库安全一样保卫计算机中心或机房。各行对机房重地也要严4格的进出制度，明确非本中心人员进出应履行批准手续，同时要对中心工作人员加强安全保密觉悟的教育，尤其是同本中心以外的人员接触要严守中心及机房的安全布局及运行情况的秘密。（二）硬件方面。1、改善硬件运行环境。机房建设要按照国家统一颁布的标准进行建设、施工、装修、安装，并经公安、消防等部门检验验收合格后投入使用。重点防止计算机机房靠近各种无线电发射台或电视转播发射点，避免计算机信息传递出错。尤其是总行和省、市分行的计算机中心，一定要测量机房周围的磁场强度，装置必要的电磁屏蔽设施。计算机房、配电室、空调间等计算机系统的重要基础设施要视为要害部门严格管理，配备防盗、防火、防水、防雷、防磁、防鼠害等设备，如果有条件可以安装电视监控系统。定期与电力、电信等部门协调，争取技术支持，保证良好的供电环境和畅通的网络环境。2、做好设备维护工作。建立对各种计算机及网络设备定期检修、维护制度，并做好检修、维护记录；对突发性的安全事故处理要有应急计划，对主要服务器和网络设备，要指定专人负责，发生故障保证及时修复，从而确保所有设备处于最佳运行状态。3、加强网络安全防范。增加网络安全的投资，特别是有关网络安全的硬件、软件配备要到位，做好三级备份网络的建设，对网络的信号传输标题进行屏蔽（静电屏蔽、磁屏蔽和电磁屏蔽）处理。对连入内部网的计算机要安装并及时更新杀毒软件版本，内部网络与国际互联网络要进行物理隔断，以提高其物理安全性；如确需互连时，则需要采用防火墙技术，对进入内部网的数据包进行过滤，以防止银行的有关信息数据在网上被窃听、篡改。（三）软件方面。1、重视应用软件的开发研制工作。在银行各种应用软件研发过程中，要积极搞好前期调研工作，多方征求基层操作人员的意见，保证设计思路的缜密、周全；编程过程中要对重要数据采用可靠的加密技术，以确保计算机网络和数据传递的完整性和保密性；软件正式投入推广使用前要进行全面的测试，以及时发现并修正软件设计过程中的缺陷。2、操作风险应作为防范重点来抓。加强操作人员权限和密码管理。对访问数据库的所有用户要科学的分配权限，实现权限等级管理，严禁越权操作，密码强制定期修改，数据输入检查严密，尽量减少人工操作机会；防止非法使用系统资源，指定专人进行系统操作，及时清除各种垃圾文件，对一切操作要有记录，以防误操作损坏软件系统或业务数据；应用系统的运行环境应封闭，防止一般用户非法闯入操作系统，尤其要限制应用终端进行系统操作。做好数据备份，确保数据安全。对运行主要业务系统的服务器及网络设备要做到双机备份，双机备份要求主机型号必须相同，每套系统控制外设的能力要一致，通信控制设备最好能通过电子开关实现自动切换，以减少系统中断运行时间；数据传输、保存过程中对涉及机密的数据信息首先要加密，然后再传输、存储；对数据库本5身的安全脆弱问题，更要作相应处理，对数据要进行多重备份、异地异处存放，以便发生类似意外掉电这类不可预见性故障时能提供快速恢复手段，以保证数据信息的完整性。例如在银行应用中私人的储蓄、企业的会计、国际的业务、信贷、财务管理都是十分重要的，它们构成银行的基础业务系统。信贷业务更是银行利润来源的重要部分。与储蓄，对公等以交易事务为主的业务模式有所不同的是，尽管信贷也是交易，但需要更多其他辅助信息的支持。如客户的基本资料，在本行内业务发生状况、信用等级、是否有逾期贷款未能归还等。各个支行的有关业务人员及分行管理人员都希望能方便及时地了解这些信息。传统的基于终端的用户界面难以传递这么多信息给用户，所以采用基于测览器IE的用户界面，一方面IE使用方便，不需要专门培训，另外它是与Windows操作系统捆绑在一起的，也可节省前台费用。在开发技术上有ASP，JSP可供选择。平时我们开发的Web应用，往往只是应